karim852/kumo-domain-recon-toolEstrutura de OSINT de domínios e reconhecimento de segurança executando 26 módulos paralelos para DNS, portas, subdomínios, credenciais vazadas, endpoints expostos, CVEs e fingerprinting de tecnologias.
Um domínio. Um comando. Tudo.
Kumo é um framework de OSINT de domínios e reconhecimento de segurança. Informe um domínio — receba tudo de volta em tempo real através de 26 módulos paralelos: DNS, portas abertas, credenciais vazadas, infecções por infostealer, endpoints vulneráveis, subdomínios, CVEs, famílias de malware e muito mais.```bash pip install requests flask
python3 kumo.py target.com # full CLI scan python3 kumo.py target.com --fast # fast mode (skips slow modules) python3 kumo.py --web # web UI → http://localhost:8888
---
## Capturas de tela
**Interface Web** — 26 módulos transmitindo em tempo real, resultados à direita, painel do Google Dorks na lateral:
**CLI** — o banner do KUMO na inicialização:
---
## Módulos
---
### 🖼️ Screenshot — Visão geral do site
Tira uma captura de tela ao vivo do alvo e a compara com o feed do **ransomware.live**. Extrai o título da página, a meta description, o favicon, a impressão digital do CMS e verifica se o domínio aparece em alguma postagem de vazamento de algum grupo de ransomware.```
URL https://corp.com
Title Corp — Enterprise Solutions
CMS WordPress 6.4
Favicon ✓ found
☠ RANSOMWARE FEED
✓ No mentions found on ransomware.live
Enumeração completa de DNS com uma classificação de segurança na proteção de email. Deteta DMARC em falta, políticas SPF fracas, DKIM ausente e transferências de zona abertas.``` A 203.0.113.10 MX mail.corp.com (priority 10) NS ns1.corp.com · ns2.corp.com TXT v=spf1 include:_spf.google.com ~all
EMAIL SECURITY DMARC ✗ Missing — anyone can spoof @corp.com SPF ⚠ Soft fail (~all) — not enforced DKIM ✗ No selector found
---
### 📍 Geolocalização — IP + ASN
Resolve o domínio para IPv4/IPv6, geolocaliza cada IP e obtém dados de ASN, ISP e organização.```
IP 203.0.113.10
Country 🇺🇸 United States
City Ashburn, Virginia
ASN AS14618 — Amazon.com Inc.
ISP Amazon Web Services
Registro completo do registrador, incluindo data de criação, expiração, informações do titular e servidores de nomes. Detecta domínios a expirar em breve e registros com privacidade protegida.``` Registrar GoDaddy LLC Created 2010-03-14 Expires 2026-03-14 ← 337 days left Updated 2024-11-01 Status clientTransferProhibited Name servers ns1.corp.com · ns2.corp.com
### 🔒 SSL/TLS — Análise de certificados
Inspeciona a cadeia completa de certificados — emissor, validade, Subject Alternative Names, conjunto de cifras e versão do protocolo. Sinaliza certificados expirados, autoassinados ou mal configurados.```
Subject corp.com
Issuer Let's Encrypt — R11
Valid from 2025-01-10
Expires 2025-04-10 ← 89 days left
SANs corp.com · www.corp.com · api.corp.com · mail.corp.com
Protocol TLSv1.3 ✓
Cipher TLS_AES_256_GCM_SHA384 ✓
Verifica todos os cabeçalhos de resposta relevantes para a segurança e classifica a configuração. Sinaliza cabeçalhos ausentes que deixam o site vulnerável a XSS, clickjacking, MIME sniffing e divulgação de informações.``` Grade C
✗ Content-Security-Policy missing — XSS risk ✗ X-Frame-Options missing — clickjacking risk ✓ X-Content-Type-Options nosniff ✗ Strict-Transport-Security missing — HSTS not enforced ✗ Permissions-Policy missing ✓ Referrer-Policy no-referrer-when-downgrade ℹ Server nginx/1.24.0 ← version exposed ℹ X-Powered-By PHP/8.1.2 ← stack disclosed
---
### 🧱 Detecção de WAF
Identifica o WAF ou CDN à frente do alvo usando mais de 40 assinaturas — cabeçalhos, cookies, banners de servidor e respostas de sondagem ativa. Se nada for detectado, isso é indicado claramente.```
Source Python fingerprinter (40+ signatures)
✓ Probably no WAF/CDN detected
Based on header, cookie and active probe analysis.
Note: absence of WAF signatures does not guarantee no protection.
Ou quando detectado:``` [HIGH] Cloudflare cf-ray header · __cfduid cookie · CF-Cache-Status
[LOW] Akamai X-Check-Cacheable header
### 🚪 Varredura de Portas — 70+ portas + banners
Escaneia 70+ portas comuns e captura banners de serviço para cada porta aberta. Enriquecido com dados do Shodan e Censys quando disponíveis.```
PORT STATE SERVICE BANNER
22/tcp open SSH OpenSSH 8.9p1 Ubuntu
80/tcp open HTTP nginx/1.24.0
443/tcp open HTTPS nginx/1.24.0
3306/tcp open MySQL 5.7.42-log ← exposed to internet
6379/tcp open Redis PONG ← no auth required
8080/tcp open HTTP Apache Tomcat/9.0.80
Identifica toda a stack tecnológica — CMS, frameworks, bibliotecas JavaScript, analytics, CDN, servidor e muito mais. Executa mais de 80 verificações de assinatura sem enviar um único pedido intrusivo.``` CMS WordPress 6.4.3 Server nginx 1.24.0 PHP 8.1.2 Framework jQuery 3.6.0 Analytics Google Analytics · Hotjar CDN Cloudflare Fonts Google Fonts SSL Let's Encrypt
---
### 🤖 Robots / Segurança — Regras de rastreamento + divulgação
Analisa o `robots.txt` em busca de caminhos permitidos e não permitidos, destaca os sensíveis e verifica a existência de um contato de divulgação de vulnerabilidades em `security.txt`. Também descobre sitemaps.```
✓ robots.txt found (23 rules)
⚠ SENSITIVE DISALLOWED PATHS
/admin/
/wp-admin/
/config/
/backup/
/.git/
✓ ALLOWED PATHS
/api/public/
/sitemap.xml
/Darklord
✗ No security.txt — no vulnerability disclosure contact
Sonda mais de 80 caminhos que são comumente deixados expostos: painéis de administração, arquivos de backup, arquivos de configuração, interfaces de depuração, documentação de API, controle de código-fonte e arquivos de infraestrutura. Cada acerto é classificado por severidade. Uma resposta 403 Forbidden ainda confirma que o caminho existe e é automaticamente rebaixada em um nível de severidade.```
12 found / 80 probed CRITICAL: 2 HIGH: 4 MEDIUM: 5 LOW: 1
CRITICAL /.env 200 ← credentials exposed CRITICAL /WEB-INF/web.xml 200 ← Java config leak HIGH /wp-admin/ 200 HIGH /phpmyadmin/ 200 HIGH /docker-compose.yml 200 HIGH /.git/HEAD 200 MEDIUM /api/swagger.json 200 MEDIUM /actuator/env 200 MEDIUM /.git/config [403] 403 ← exists, access denied LOW /.htaccess [403] 403
---
### 🔓 Vulnerability Scanner — mais de 150 verificações integradas
Python puro, zero ferramentas externas. Mais de 150 verificações baseadas em HTTP inspiradas em templates reais do Nuclei — cobrindo CVEs conhecidas, vulnerabilidades de CMS, painéis de administração expostos, endpoints de metadados de cloud, dashboards de CI/CD, configurações incorretas de CORS e muito mais. Cada verificação é **catch-all / compatível com WAF**: uma linha de base é identificada primeiro, para que a página genérica 403/404 que um host retorna para todos os caminhos nunca seja reportada como um achado. Verificações de ficheiros em bruto (`.git`, `.env`, backups) exigem o conteúdo *real* do ficheiro, e as respostas 403 são rebaixadas — nunca reportadas como "expostas".```
CRITICAL: 2 HIGH: 5 MEDIUM: 7
CRITICAL Log4Shell RCE (CVE-2021-44228) 200 — Confirmed
CRITICAL Laravel .env Exposed 200 — Plaintext secrets
HIGH Git Repository Accessible 200
HIGH phpMyAdmin Public Access 200
HIGH Jenkins Dashboard (Unauthenticated) 200
HIGH AWS Keys in HTTP Response 200
MEDIUM Spring Boot Actuator /env 200
MEDIUM Grafana Default Credentials 200
As verificações incluem: Log4Shell · Spring4Shell · Drupalgeddon2 · Confluence OGNL · Oracle WebLogic · 15 CVEs de plugins WordPress · configuração incorreta de CORS · injeção de cabeçalho Host · Clickjacking e muitas mais.
Deteção de CVEs recentes (2024–2026) — um conjunto dedicado de templates apenas de deteção que identifica a exposição/versão para as CVEs mais recentes e ativamente exploradas (sem exploração, apenas correlação):``` RECENT CVE cPanel / WHM Login Panel Exposed CVE-2026-41940 RECENT CVE Next.js Middleware Auth Bypass CVE-2025-29927 RECENT CVE SharePoint "ToolShell" RCE CVE-2025-53770 RECENT CVE SAP NetWeaver Visual Composer CVE-2025-31324 RECENT CVE Ivanti EPMM / Connect Secure CVE-2025-4427 RECENT CVE CrushFTP Auth Bypass CVE-2025-31161 ... 15 more (Fortinet · Palo Alto · Oracle EBS · Craft CMS · Vite · Langflow · Wazuh)
---
### 🔌 Fuzzer de Endpoints de API
Descoberta inteligente de API. Sonda primeiro uma linha de base aleatória para detectar servidores catch-all, confirma que um caminho de API base realmente existe antes de fazer fuzzing, e então descobre endpoints ativos e verifica **introspecção GraphQL**. Cada acerto mostra seu status HTTP e o **tamanho em bytes** da resposta.```
Base found /api/v1
GraphQL /graphql — introspection enabled [200] 1.2 KB
API ENDPOINTS
HIGH /api/v1/users 200 8.9 KB
HIGH /api/v1/admin 401 512 B
MEDIUM /api/v1/config 200 2.1 KB
MEDIUM /api/swagger.json 200 14 KB
Extrai e escaneia JavaScript de primeira parte em busca de segredos embutidos no código — chaves de API, tokens, credenciais de nuvem e chaves privadas — com saída em texto claro e a linha de origem exata para cada ocorrência.``` ⚠ Secrets Detected (clear text)
CRITICAL AWS Access Key AKIA................ app.min.js HIGH Google API Key AIza................ main.js HIGH Stripe Live Key sk_live_............. checkout.js MEDIUM JWT Token eyJhbGciOiJ......... auth.js
---
### 🧠 Inteligência de Conteúdo — extração JS/HTML
Faz scraping do HTML da homepage, scripts inline e todos os ficheiros JS first-party, e depois extrai o sinal **valioso** — não apenas segredos. Endpoints, URLs internos/externos, rotas de API, **URIs de ligação a bases de dados**, armazenamento na cloud (S3 / GCS / Azure / Firebase), emails, hosts internos, JWTs, chaves privadas, source maps e comentários de código de risco. Ativos estáticos (`.css`, `.js`, imagens, tipos de letra) e domínios de documentação (MDN, W3C) são filtrados; URLs externos são reduzidos a hosts de terceiros únicos.```
166 items extracted · 14 JS files · 3 inline
🗄️ DATABASE URIS
mongodb+srv://svc:****@cluster0.abcd.mongodb.net/prod
☁️ CLOUD STORAGE
[AWS S3] assets-prod.s3.amazonaws.com
🔌 API ENDPOINTS (12)
/api/v1/users · /api/internal/config · /graphql
🔐 SENSITIVE INFO (21)
[Credential-like assignment] api_key = 7f3c9a12de...
[JWT token] eyJhbGciOiJIUzI1NiIs...
[Risky code comment] // TODO: remove hardcoded admin creds
🌐 EXTERNAL SOURCES (19 unique hosts)
cdn.thirdparty.com · api.stripe.com · fonts.googleapis.com ...
Obtém o favicon (primeiro o declarado no HTML, depois caminhos comuns em paralelo — limitado para nunca travar), calcula o hash MMH3 usado pelo Shodan/Censys e mapeia hashes conhecidos para tecnologias. Útil para identificar a stack e pivotar para outros hosts que executam o mesmo favicon.``` Favicon https://corp.com/favicon.ico (33.2 KB) MMH3 hash -1319625119 Shodan http.favicon.hash:-1319625119 Match GitLab
---
### ☁️ Buckets de Armazenamento em Nuvem
Enumera prováveis nomes de buckets **AWS S3 / GCP / Azure** derivados do domínio e verifica exposição pública. Apenas um **HTTP 200 (publicamente legível)** confirmado é reportado — respostas 403 não confiáveis nunca são sinalizadas como achados.```
Checked 42 candidate buckets
PUBLIC corp-backups.s3.amazonaws.com 200 ← readable
PUBLIC corp-assets.storage.googleapis.com 200
Consulta o Shodan InternetDB (gratuito, sem chave) para portas abertas, CPEs, hostnames e CVEs. Cada CVE é enriquecida com pontuação CVSS, severidade, flag KEV e descrição através da API gratuita CVEDB do Shodan.``` Source InternetDB (free, no key) Ports 22, 80, 443, 3306, 6379, 8080 CVEs 4
CVE-2021-44228 CVSS 10.0 CRITICAL [KEV] EPSS 0.9741 Remote code execution via JNDI lookup in Log4j 2.x
CVE-2022-26134 CVSS 9.8 CRITICAL [KEV] EPSS 0.9689 Confluence Server OGNL injection — unauthenticated RCE
CVE-2021-26084 CVSS 9.8 CRITICAL [KEV] Confluence Server pre-auth remote code execution
---
### 🔬 Censys — Hosts + certificados
Extrai dados de hosts e inteligência de certificados do Censys. Enriquecido com chave de API opcional para resultados completos.```
IPs 203.0.113.10 · 203.0.113.11
Certs 14 certificates found in CT logs
CERT corp.com (valid) → Let's Encrypt exp. 2025-04-10
CERT dev.corp.com (valid) → Let's Encrypt exp. 2025-03-22
CERT old.corp.com (expired)→ DigiCert exp. 2022-08-01 ⚠
Consulta crt.sh, HackerTarget, RapidDNS e AlienVault OTX simultaneamente, faz referência cruzada com logs de Certificate Transparency, resolve cada resultado, verifica se está ativo e sinaliza qualquer coisa que pareça sensível.``` Total found 52 Alive 34 ⚠ Sensitive 8
SUBDOMAIN IP FLAG admin.corp.com 203.0.113.10 ⚠ SENSITIVE dev.corp.com 203.0.113.24 ⚠ SENSITIVE staging.corp.com 203.0.113.31 ⚠ SENSITIVE intranet.corp.com 203.0.113.45 ⚠ SENSITIVE vpn.corp.com 203.0.113.88 ⚠ SENSITIVE api.corp.com 203.0.113.55 mail.corp.com 203.0.113.12 shop.corp.com 203.0.113.78 cdn.corp.com 203.0.113.92 ...
---
### 🔨 Força Bruta de Subdomínios
Testa milhares de nomes de subdomínios comuns via DNS com deteção de wildcard — elimina falsos positivos automaticamente. Encontra subdomínios que as fontes passivas deixam completamente escapar.```
Wordlist 5000 names
Threads 50
Wildcard ✓ detected and filtered
NEW (not in passive)
backup.corp.com 203.0.113.101 ⚠ SENSITIVE
jenkins.corp.com 203.0.113.102 ⚠ SENSITIVE
vault.corp.com 203.0.113.103 ⚠ SENSITIVE
Consulta a Wayback Machine em busca de snapshots arquivados do alvo — minerando endpoints antigos, páginas de login esquecidas, arquivos de configuração expostos e caminhos que não existem mais no site ativo, mas revelam o histórico da superfície de ataque.``` Snapshots 2,847 Date range 2011-03-14 → 2025-01-09
INTERESTING ARCHIVED PATHS /admin/old-login.php (2019-08-22) /config/database.yml (2021-03-10) /api/v1/debug/ (2022-06-18) /backup/db_export_2020.sql (2020-11-05) ← backup exposed /.env.backup (2023-01-14) ← secrets
---
### 💀 Inteligência de Vazamentos e Credenciais — 5 fontes
Agrega dados de **5 fontes gratuitas** e executa uma verificação automática de stealer por e-mail contra o banco de dados da Hudson Rock — mostrando quais máquinas de funcionários foram infectadas, qual malware foi executado, quais senhas foram roubadas e quais serviços foram comprometidos.```
┌────────────────┬──────────────┬──────────────┬─────────────┐
│ 8024 │ 12 │ 183 │ 6 │
│ INFOSTEALER │ EMPLOYEES │ CLIENTS │ EMAILS │
└────────────────┴──────────────┴──────────────┴─────────────┘
⚠ CRITICAL FINDINGS
[hudsonrock] employees_infected_infostealer
3 employee machines infected — last: 2025-03-14
[hudsonrock] stealer_family_identified
Primary malware: RedLine (3100 infections)
[chiasmodon] employee_plaintext_password
[email protected] — pass: S3cr*** (2024-08-11)
[proxynova] comb_credentials_found
183 unique emails with plaintext passwords
HUDSON ROCK CAVALIER
Employees 3 · Clients 8017 · 3rd Parties 21 · Records 8041
Malware: RedLine: 3100 · Lumma: 1540 · Raccoon: 892 · StealC: 401
Last employee hit: 2025-03-14
CHIASMODON (pages 1+2)
EMAIL PASSWORD DATE
[email protected] S3c••••• 2024-08-11
[email protected] adm••••• 2024-11-02
[email protected] d3v••••• 2024-07-28
PROXYNOVA COMB (3.2B credentials)
Records 247 · Emails 38
[email protected] bil***** (len 11)
[email protected] inf**** (len 8)
HAVEIBEENPWNED
✓ No domain breaches found (972 indexed)
☠ STEALER CHECK (per-email · 9 infected / 20 checked)
[email protected] ☠ INFECTED
📅 2025-01-12 💻 JOHN-PC 🖥 Windows 10 Pro x64
🦠 C:\Users\john\AppData\Roaming\update\svc.exe
🔑 Passwords: S3cr***0 · c0rp***y · J0hn***!
🏢 4 corp services stolen · 👤 89 personal
Descobre endereços de email de funcionários @domain em múltiplas fontes abertas e, em seguida, mescla todos os emails confirmados encontrados durante a varredura de inteligência de vazamentos.```
Confirmed 7 Patterns 20
Sources: crt.sh · web scraping · whois · DNS SOA · wayback
📧 CONFIRMED EMAILS [email protected] [email protected] [email protected] [email protected] [email protected]
💡 COMMON PATTERNS (may exist) [email protected] [email protected] [email protected] [email protected] ...
Fontes: **Hunter.io** · logs de certificados **crt.sh** · scraping de páginas web (contato / sobre / equipe) · registro **DNS SOA** · contato **WHOIS** · arquivo **Wayback Machine** · prefixos comerciais comuns.
---
### 🔍 Google Dorks — 61 consultas
Gera 61 consultas Google dork direcionadas pré-construídas para o domínio — um clique as abre no Google. Abrange arquivos expostos, páginas de login, diretórios sensíveis, subdomínios, páginas em cache, repositórios de código e muito mais.```
FILE EXPOSURE
site:corp.com filetype:pdf
site:corp.com filetype:xlsx OR filetype:csv
site:corp.com filetype:sql OR filetype:bak
site:corp.com ext:env OR ext:config OR ext:yaml
LOGIN & ADMIN
site:corp.com inurl:login OR inurl:admin OR inurl:dashboard
site:corp.com inurl:wp-admin
SENSITIVE CONTENT
site:corp.com intext:"password" OR intext:"api_key"
site:corp.com intext:"BEGIN RSA PRIVATE KEY"
SUBDOMAINS & INFRA
site:*.corp.com -www
site:corp.com inurl:dev OR inurl:staging OR inurl:test
... 51 more queries across 8 categories
Pré-gera 26 links de investigação para o alvo nas plataformas OSINT mais úteis — um clique e você está lá.``` THREAT INTEL VirusTotal https://virustotal.com/gui/domain/corp.com URLhaus https://urlhaus.abuse.ch/browse/?search=corp.com Shodan https://shodan.io/search?query=hostname:corp.com
BREACH & LEAKS HaveIBeenPwned https://haveibeenpwned.com/DomainSearch ProxyNova COMB https://proxynova.com/tools/[email protected] IntelX https://intelx.io/?s=corp.com DeHashed https://dehashed.com/search?query=corp.com LeakRadar https://leakradar.io/search?q=corp.com HudsonRock https://cavalier.hudsonrock.com/...
RECON & MAPPING Shodan Maps https://maps.shodan.io/#corp.com Censys https://search.censys.io/search?q=corp.com Fofa https://en.fofa.info/result?qbase64=... ZoomEye https://zoomeye.org/searchResult?q=corp.com
... 13 more across threat intel, archive, and code search
---
## ⚙️ Chaves de API opcionais
Tudo funciona sem qualquer chave. Estas desbloqueiam dados mais ricos:
| Variável | Desbloqueia |
|----------|---------|
| `SHODAN_API_KEY` | Dados completos do host Shodan — banners, serviços, histórico completo |
| `CENSYS_API_ID` + `CENSYS_API_SECRET` | Pesquisa completa de hosts e certificados Censys |
| `HIBP_API_KEY` | Pesquisa HaveIBeenPwned por email |
| `CHIASMODON_API_KEY` | Nível pro do Chiasmodon — mais resultados |
| `RANSOMWARE_LIVE_API_KEY` | Feed pro do Ransomware.live |
| `GOOGLE_CSE_KEY` + `GOOGLE_CSE_ID` | Executar Google dorks em tempo real |```bash
export SHODAN_API_KEY="your_key_here"
export HIBP_API_KEY="your_key_here"
# loaded at runtime — never hardcoded
python3 kumo.py target.com full scan python3 kumo.py target.com --fast skip slow modules python3 kumo.py target.com -m dns ssl ports specific modules only python3 kumo.py target.com -o report.json export to JSON python3 kumo.py --web web UI (port 8888) python3 kumo.py --web -p 9000 custom port python3 kumo.py target.com --no-color pipe-friendly output
fast mode skips: wayback · brute · subdomains · email_harvest
---
## 🌐 Ecossistema
| | Ferramenta | Domínio |
|---|---|---|
| ☁️ | [**Kumo** 蜘蛛](https://github.com/karim852/KUMO-Domain-Recon-Tool) | OSINT de domínios e reconhecimento |
| 🌑 | [**Kage** 影](https://github.com/karim852/Kage-DFIR-toolkit) | triagem de host DFIR |
---
> ⚠️ **Apenas para testes de segurança autorizados.**
> Escaneie apenas domínios que você possui ou para os quais tem permissão escrita explícita de testar.
> Você é livre para usar, modificar e compartilhar este código para fins educacionais e pessoais.
> Por favor, dê o devido crédito ao usar ou referenciar este trabalho.
> O uso comercial não é permitido sem permissão explícita do autor.
<div align="center">
<br>
<sub>Feito para quem se move rápido. 蜘蛛.</sub>
</div>